Un presunto grupo APT chino (UNC3886) se ha relacionado con una serie de ataques contra organizaciones gubernamentales que explotan una vulnerabilidad de tipo ZERO-DAY de Fortinet, rastreado como CVE-2022-41328, y que permitirá al atacante el implementar malware.
La falla de seguridad permitió a los actores de amenazas implementar diferentes cargas de malware mediante la ejecución de códigos o comandos no autorizados en dispositivos de firewall FortiGate sin parches, como lo reveló Fortinet la semana pasada.
Un análisis posterior reveló que los atacantes podrían usar el malware para realizar labores de espionaje, incluida la exfiltración de datos, la descarga y escritura de archivos en dispositivos comprometidos o la apertura de shells remotos cuando reciben paquetes ICMP creados con fines maliciosos.
Uno de los incidentes se descubrió cuando los dispositivos FortiGate de un cliente se apagaron de golpe con errores vinculados a la integridad del firmware de FIPS, lo que los hizo inoperables.
Los dispositivos dejaron de funcionar para evitar la infiltración en la red, una práctica estándar para los sistemas habilitados para FIPS. Los Firewalls se vieron comprometidos mediante un exploit transversal de ruta FortiGate, CVE-2022-41328, y su apagado simultáneo llevó a Fortinet a sospechar que el ataque se originó en un dispositivo de FortiManager.
La compañía dijo que estos fueron ataques altamente dirigidos contra redes gubernamentales y grandes organizaciones, y los atacantes también mostraron «capacidades avanzadas«, incluida la ingeniería inversa del sistema operativo de los dispositivos de FortiGate.
Relación con un grupo APT Chino
En un nuevo informe de Mandiant, publicado el día de ayer, dice que los ataques ocurrieron a mediados de 2022 y los atribuye a un grupo de amenazas llamado «China-nexus» que la compañía rastrea como UNC3886.
Mientras investigaba el incidente de forma conjunta con Fortinet, Mandiant descubrió que, después de violar los dispositivos de Fortinet, UNC3886 los usó como puerta trasera usando dos nuevas cepas de malware para continuar accediendo a las redes de las víctimas: una puerta trasera, Thincrust, basada en Python y la puerta trasera pasiva, Castletap, que golpea el puerto ICMP.
Los actores de la amenaza accedieron inicialmente a un dispositivo FortiManager accesible desde Internet antes de explotar la falla CVE-2022-41328, para escribir archivos que les permitieran moverse lateralmente a través de la red.
Después de haber obtenido persistencia en los dispositivos FortiManager y FortiAnalyzer a través de la puerta trasera de Thincrust, el grupo utilizó una serie de secuencias de comandos de FortiManager para crear una puerta trasera en múltiples firewalls FortiGate usando Castletap.
Luego, el atacante se conectó a las máquinas ESXi y vCenter de VMware, implementando puertas traseras VirtualPita y VirtualPie para mantener el control sobre los sistemas comprometidos y las máquinas invitadas, asegurando que sus actividades maliciosas no fueran detectadas.
En los dispositivos configurados para restringir el acceso desde Internet, los atacantes instalaron un redireccionador de tráfico (Tableflip) y una puerta trasera pasiva (Reptile) después de pasar de los firewalls FortiGate, que anteriormente, tenían una puerta trasera con Castletap.
«Creemos que la orientación de estos dispositivos seguirá siendo la técnica preferida para los grupos de espionaje que intentan acceder a objetivos de alta complejidad en temas de seguridad«, dijo Ben Read, jefe de análisis de espionaje de Mandiant en Google Cloud.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
